Falar de cibersegurança continua a soar a assunto de técnicos. Kemba Walden, que já liderou a política norte-americana nesta área, defende num vídeo com menos de dois minutos que o problema está noutro lado: a maior parte das pessoas não sente que o tema lhe diz respeito.
Uma frase que incomoda
Na semana passada, o Fórum Económico Mundial publicou no LinkedIn um vídeo curto, legendado em espanhol, que abre com uma frase seca: «El mayor riesgo para la ciberseguridad es que a nadie le importe». Quem fala é Kemba Walden, que em 2023 exerceu, a título interino, as funções de diretora nacional de cibersegurança dos Estados Unidos, e que hoje preside ao Paladin Global Institute, um instituto de investigação e defesa de políticas criado pela Paladin Capital Group.
O inimigo de que ela fala não usa código malicioso. Chama-se apatia. Quando a cibersegurança é vista como algo abstrato, ninguém a liga às coisas de que depende todos os dias, e por isso ninguém lhe dá atenção até ao dia em que algo falha.
Falar de água, de energia e de pagamentos
A proposta de Walden começa por mudar a conversa. Em vez de falar de segurança, fala dos serviços que as pessoas esperam receber: poder fazer operações bancárias sem sobressaltos, ter acesso a água potável, contar com energia fiável. A segurança entra depois, como aquilo que sustenta tudo isto. Uma infraestrutura segura, com meios fiáveis para entregar esses serviços, serve para travar a fraude, reduzir os estragos e tornar mais difícil a vida a quem tem más intenções.
Parece um truque de comunicação, mas tem consequências práticas. Uma pessoa que não percebe porque deve atualizar o telemóvel muda de ideias com facilidade quando percebe que o que está em causa é a conta bancária da família.
O ónus não pode ficar sempre do lado de quem usa
A segunda parte do vídeo é a mais interessante. Walden diz que não se pode esperar que as pessoas saibam exatamente quando devem instalar uma correção de segurança ou atualizar o router. O risco deve ser retirado dos indivíduos e passar para as empresas, em larga escala, e com urgência. Na linguagem da gestão de risco, isso quer dizer conceber os produtos com segurança desde o início.
A ideia não nasceu agora. Em fevereiro de 2023, na Conferência de Segurança Cibernética de Munique, Walden já dizia que a estratégia norte-americana pretendia tirar a responsabilidade dos utilizadores finais e pô-la nos produtores. Semanas depois, no lançamento da Estratégia Nacional de Cibersegurança, voltou a defender que quem tem mais meios e melhor posição para se defender deve assumir uma parte maior do trabalho. Do outro lado do Atlântico, a agência norte-americana de cibersegurança CISA descreve o mesmo princípio com o nome de secure by design: os fornecedores assumem a responsabilidade pelos resultados de segurança dos clientes e entregam produtos seguros por defeito, com a autenticação multifator, por exemplo, sem custos adicionais.
Apatia ou cansaço?
Há uma maneira de ler a apatia que a torna menos injusta para quem a sente. Em 2016, investigadores do NIST (o instituto norte-americano de normalização e tecnologia) entrevistaram utilizadores comuns e identificaram aquilo a que chamaram fadiga de segurança. Quando se pede a alguém que tome decisões de segurança a toda a hora, a pessoa cansa-se, sente que perdeu o controlo e acaba por escolher a opção mais fácil ou por deixar de seguir as regras. Muitos dos entrevistados achavam que não eram alvos interessantes e que proteger os dados era tarefa dos bancos ou das lojas online.
Visto assim, o desinteresse é muitas vezes uma defesa contra o excesso de exigências. E a saída que os investigadores sugerem aponta na mesma direção de Walden: reduzir o número de decisões que o utilizador tem de tomar, facilitar a escolha certa e desenhar sistemas que favoreçam decisões consistentes.
O que isto muda na escola
A escola é um lugar onde se acumulam contas, plataformas, dispositivos e pedidos de atualização. Não temos dados para dizer que há fadiga de segurança nos nossos professores e alunos, mas seria surpreendente que não houvesse, e vale a pena tirar daqui algumas ideias, que são nossas e não de Walden.
A primeira é começar pelos serviços e não pelas ameaças. Em vez de abrir a conversa com vírus e palavras-passe, pode perguntar-se ao grupo o que acontece à escola, ou à família, se a plataforma onde estão as classificações ficar indisponível durante uma semana, ou se alguém aceder a uma conta de correio de um professor. Só depois faz sentido falar de proteção, porque a pergunta já tem um dono.
A segunda é ensinar os alunos a serem utilizadores exigentes e não apenas cuidadosos. Perguntar se um serviço pede mais dados do que precisa, se as atualizações são automáticas, se a autenticação em dois passos está disponível à partida, é uma literacia que inclui direitos e não só precauções.
A terceira é de cultura de escola. Se quem cai num phishing for exposto ou ridicularizado, da próxima vez não diz nada. Uma escola que quer proteger-se precisa de que as pessoas comuniquem depressa os incidentes, sem vergonha. E as direções e os serviços de informática podem fazer a sua parte, simplificando o que está ao seu alcance: atualizações geridas de forma centralizada, menos senhas para memorizar, procedimentos claros.
Há recursos já em curso que mostram caminhos. O Game Over Crime, da Polícia Judiciária, leva a cibersegurança às escolas através de jogos sérios, com debate em sala de aula. O estudo sobre educação para a cibersegurança no ensino básico e secundário mostra que o tema aparece sobretudo em TIC e em Cidadania e Desenvolvimento, e recomenda mais continuidade, formação de professores e acompanhamento. Quem quiser pensar na escola como organização pode ler a proposta australiana para preparar, prevenir e agir, e, sobre a literacia digital dos jovens, deixamos o texto «Nativos digitais ou ingénuos digitais?».
Uma ressalva
Defender que as empresas devem assumir mais risco não dispensa a literacia, e a escola não pode esperar que os fornecedores resolvam tudo por ela. As duas frentes têm de andar juntas. Convém também lembrar que o vídeo é curto e serve uma mensagem, e que a própria Walden dizia, em 2023, que uma estratégia vale o que valer o seu plano de implementação. Não conseguimos confirmar, a partir das fontes consultadas, em que medida a transferência de responsabilidade para os produtores avançou desde então.
Ainda assim, a frase de abertura merece ficar. Se numa escola ninguém se importa, nenhuma ferramenta chega. E se o cansaço é parte do problema, talvez a primeira pergunta útil seja menos «porque é que as pessoas não se importam?» e mais «o que lhes estamos a pedir que decidam, e quantas vezes por dia?».
***
Nota editorial e de transparência: este artigo foi elaborado com apoio de inteligência artificial e revisto pelos autores.
Referências
Cybersecurity and Infrastructure Security Agency. (s.d.). Secure by design. https://www.cisa.gov/securebydesign (consultado a 12 de outubro de 2026)
Fórum Económico Mundial. (2026, 7 de outubro). Según Kemba Walden, la ciberseguridad tiene un enemigo supremo: la apatía [Publicação]. LinkedIn. https://www.linkedin.com/posts/seg%C3%BAn-kemba-walden-la-ciberseguridad-tiene-ugcPost-7513599033287057408-iCEx/ (consultado a 12 de outubro de 2026)
Martin, A. (2023, 16 de fevereiro). Biden’s national cyber strategy to move risk from end users to technology producers. The Record. https://therecord.media/bidens-national-cyber-strategy-to-move-risk-from-end-users-to-technology-producers/ (consultado a 12 de outubro de 2026)
National Institute of Standards and Technology. (2016, 4 de outubro; atualizado em 3 de fevereiro de 2025). “Security fatigue” can cause computer users to feel hopeless and act recklessly. https://www.nist.gov/news-events/news/2016/10/security-fatigue-can-cause-computer-users-feel-hopeless-and-act-recklessly (consultado a 12 de outubro de 2026)
Office of the National Cyber Director. (2023, 2 de março). Remarks: National cybersecurity strategy launch remarks, Acting National Cyber Director Kemba Walden. The White House. https://bidenwhitehouse.archives.gov/oncd/briefing-room/2023/03/02/national-cybersecurity-strategy-launch-remarks-acting-national-cyber-director-kemba-walden (consultado a 12 de outubro de 2026)
Smalley, S. (2024, 8 de janeiro). Kemba Walden to helm new Paladin cyber research and advocacy institute. The Record. https://therecord.media/kemba-helms-paladin-cyber-center (consultado a 12 de outubro de 2026)
Para saber mais
No blogue: Game Over Crime: a Polícia Judiciária leva a cibersegurança às escolas através de jogos sérios; Estudo sobre educação para a cibersegurança no ensino básico e secundário em Portugal; A escola e a segurança digital: preparar, prevenir e agir | Toolkit Austrália; Cibersegurança e privacidade de dados nas instituições GLAM.
Fora do blogue: Secure by design, na CISA; fadiga de segurança, no NIST; Global Cybersecurity Outlook 2026, do Fórum Económico Mundial.
